PaperCut NG/MF の DB ドライバ名から任意の Java コードが実行される（KEV・悪用確認済み）

Critical（CVSS 9.1）に分類されるPaperCut PaperCut MF / PaperCut NG（自己ホスト型の Application Server）。NVD の該当範囲は 24.1.9 未満 / 25.0.2 以上 25.0.12 未満 / 26.0.2 以上 26.0.4 未満。ベンダは「PaperCut NG と PaperCut MF の全バージョンが対象」と告知しているの脆弱性です。PaperCut MF / NG のデータベース接続ユーティリティに、安全でない動的クラス読み込みがある。**アプリケーションは設定可能なドライバ名をもとにデータベースドライバのクラスを実体化するが、その名前を承認済みドライバの許可リストと照合していない。** そのためシステム設定パラメータを操作できる攻撃者は、PaperCut サーバプロセスの権限で、アプリケーションのクラスパス上にある任意の Java バイトコードを実行できる。NVD の CVSS 3.1 基本値は 9.1（AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H）、ベンダ自身の CVSS 4.0 評価は 9.4（CRITICAL）である。 **単体では「設定を操作できること」が前提条件（PR:H）だが、その前提は同じ緊急パッチで塞がれた CVE-2026-81578 が満たしてしまう。** 81578 は管理画面のアクセス制御不備で、未認証のリモート要求が検証完了前にバックエンド処理を起こし、一部のシステム設定を変更できるというものである。つまり **未認証で設定を書き換え → 書き換えたドライバ名からクラスを読ませてコード実行、という連鎖が成立する**。ベンダが2件を同一の緊急パッチで扱っているのはこのためで、片方だけを見て「権限が要るから急がない」と判断してはいけない。 実際の悪用で残る痕跡もこの経路を裏づけている。ベンダが公開した IoC には `server.log` の `DB URL: jdbc:derby:memory:pwn;create=true`、`DB URL: jdbc:no:x DB Driver: <5文字のランダム名>`、`Database error looking up cardID: VALUES CAST(X'cafebabe`（`cafebabe` は Java クラスファイルの先頭4バイト）が挙がっており、**ドライバ名と DB URL を差し替えてクラスを読み込ませる操作がそのまま記録に出る**。ディスク側には `<install>\server\lib\<5文字>.class` と `<install>\server\data\content\<5文字>.cmd` / `.out` が書かれる。CISA は 2026年8月31日に KEV へ収載し、是正期限を 2026年9月14日に設定した。 **【2026-09-15 追記】公開されたエクスプロイトモジュールが存在し、初期の緊急パッチを迂回する。** Rapid7 の Metasploit フレームワークに、本件と CVE-2026-82078 の連鎖を突くエクスプロイトモジュールが **2026-09-03 に取り込まれた**（rapid7/metasploit-framework の PR #21842・状態 merged）。PR の説明によれば、このモジュールは **PaperCut MF / NG のサポート対象版すべて（26.x / 25.x / 24.x）を対象にし、ベンダの緊急パッチ v1 を迂回する**。**緊急パッチ v2 については、このエクスプロイトを正しく塞ぐことが検証済み**と書かれている。つまり **「緊急パッチを当てた」だけでは足りず、どの版の緊急パッチかが結果を分ける。** **CISA KEV の是正期限 2026-09-14 は経過した**（KEV カタログ 2026.09.14 で収載日 2026-08-31・期限 2026-09-14 を再確認。ランサムウェア利用は Unknown のまま）。期限を過ぎた今も未適用の環境が残っているなら、**公開モジュールが出ている以上、攻撃の敷居は初期よりはるかに下がっている**と考えるべきである。

**対応は CVE-2026-81578 と同一で、緊急パッチ Release 3 の適用である。** ベンダの掲示は両 CVE の「Mitigated in」を同じ Release 3 と書いており、2件を分けて当てることはできない。Release 3 は過去の緊急リリースを含む累積版なので、初期の緊急パッチや Release 2 で止まっている環境も更新する。 **調査は「ドライバ名と DB URL が書き換えられた形跡」を軸にする。** 具体的には `server.log` を `jdbc:no:x` / `jdbc:derby:memory:pwn` / `VALUES CAST` / `cafebabe` で検索し、`<install>\server\lib\` に5文字のランダム名の `.class` ファイルが無いかを見る。加えて、現在のデータベース接続設定（ドライバクラス名と JDBC URL）が自分が設定したものと一致しているかを目視で確認する。ここが書き換えられたまま残っていれば、パッチ適用後も次回の接続で読み込まれる可能性がある。 **外部データベースをカード／ID 番号の照合に使っている環境は、ベンダの FAQ を必ず読むこと。** 本 CVE はまさにその機能まわりのユーティリティで起きており、Release 3 では「外部カード照合での従来の Microsoft SQL Server ドライバ対応」を復旧させる修正が入っている。つまりこの機能を使っている環境ではパッチによる挙動変化が起こりうる。**KEV 是正期限は 2026年9月14日**である。 **【2026-09-15 追記】「パッチ済み」の棚卸しをやり直す。** 公開エクスプロイトが緊急パッチ v1 を迂回することが判明したため、**初期の緊急パッチで止まっている環境は未対策と同じ扱いにする。** ベンダが示す到達点は累積版の Release 3 で、対応するビルドは PaperCut MF / NG とも **v26.0.5 / v25.0.13 / v24.1.10** である（MF は Build 76604・76610 系、NG は Build 76603・76605・76611 系。ベンダ掲示にダウンロードリンクと SHA256 が併記されている）。**管理画面の版表示で 26.0.5 / 25.0.13 / 24.1.10 以降になっているかを1台ずつ確認する**こと。ベンダは適用前後に、外部データベースをカード／ID 番号の照合に使っているか、サイトサーバを使っているかの2点を FAQ で確認するよう案内している。 **未適用の期間が KEV 期限（2026-09-14）を跨いだ環境は、パッチだけで終わらせない。** ベンダが示す IoC（`server.log` 内の `DB URL: jdbc:no:x` / `jdbc:derby:memory:pwn;create=true` / `Database error looking up cardID: VALUES CAST(X'cafebabe` / `DB Driver: <5文字のランダム名>`、および `<install>\server\lib\<5文字>.class` などの書き込み）を、**ログが消されている可能性込みで**確認する。ベンダ自身が「これらのファイルは攻撃者に片付けられることがあるので、無いことは侵害の否定にならない」と明記している。

PaperCut PaperCut MF / PaperCut NG（自己ホスト型の Application Server）。NVD の該当範囲は 24.1.9 未満 / 25.0.2 以上 25.0.12 未満 / 26.0.2 以上 26.0.4 未満。ベンダは「PaperCut NG と PaperCut MF の全バージョンが対象」と告知している を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://www.papercut.com/kb/Main/security-bulletin-27-aug-2026-urgent-security-advisory/）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/14 です。早急な対応が推奨されます。